Hi
Ganz ehrlich: leider muss ich jetzt dieses board auch selber benutzen... nix mehr mit nur lesen. *gg*
Denn ich hab mir gestern mit einer gewissen .exe datei gleich mal einige Spyware und troyaner eingefangen... ich hab jetzt scho einige stunden am pc rumgebastelt. einiges hab ich löschen können. aber an tv media scheitere ich immer wieder und ich fürchte es sind auch noch ein paar andere progs...
könnt ihr mir vielleicht helfen, wie ich die am besten wieder weg bekomm????

hier mal mein log von Hijack This:

Logfile of HijackThis v1.98.2
Scan saved at 22:50:36, on 23.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\Explorer.EXE
D:\Grisoft\AVGFRE~1\avgamsvr.exe
C:\Programme\MSI\Live Update 3\LMonitor.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
D:\Grisoft\AVGFRE~1\avgupsvc.exe
D:\ßLogitech\iTouch\iTouch.exe
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\System32\MsPMSPSv.exe
D:\Winamp 5\winampa.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
D:\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\Messenger\msmsgs.exe
D:\Pulse\Pulse.exe
D:\Opera\opera.exe
D:\WinRAR\WinRAR.exe
D:\shared\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINNT\System32\SearchBar.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.web.de/
R3 - URLSearchHook: (no name) - {20EC3D2D-33C1-4C9D-BC37-C2D500688DA2} - C:\Programme\TV Media\TvmBho.dll
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: (no name) - {00000EF1-0786-4633-87C6-1AA7A44296DA} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL (file missing)
O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - D:\WS_FTP Pro\wsbho2k0.dll
O2 - BHO: CHungryBHO Object - {BCF96FB4-5F1B-497B-AECC-910304A55011} - C:\WINNT\neti.dll
O2 - BHO: (no name) - {C5941EE5-6DFA-11D8-86B0-0002441A9695} - C:\WINNT\3_0_1browserhelper3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [LiveMonitor] C:\Programme\MSI\Live Update 3\LMonitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [zBrowser Launcher] D:ßLogitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [WinampAgent] D:\Winamp 5\winampa.exe
O4 - HKLM\..\Run: [CTStartup] C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVG7_CC] D:\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [TV Media] C:\Programme\TV Media\Tvm.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Pulse] D:\Pulse\Pulse.exe -splash
O4 - HKCU\..\Run: [TV Media] C:\Programme\TV Media\Tvm.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\Office\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{D5C45E1A-D091-4ED1-B83C-FCBA3370FA13}: NameServer = 209.47.15.118,64.157.143.38,
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 192.168.0.4 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 192.168.0.4 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 192.168.0.4 192.168.0.1



ich hoff ihr könnt mir helfen!!!
thx schon mal
clee

@ clee

besser aufpassen beim lesen ;-) Eigentlich hättest Du wissen können und müssen, dass wir mit dem SP1 nicht zufrieden sind, also --> Platform: Windows XP SP1 (WinNT 5.01.2600) - lade Dir bitte das aktuelle Service Pack runter und update Deinen IE: www.windowsupdate.com

bitte überprüfe mit virusscan.jotti.dhs.org:

D:\Pulse\Pulse.exe

teile uns das Ergebnis der Überprüfung mit.

Boote in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe mit Hijack This (Häk'chen setzen und auf Fix Checked klicken):

O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: (no name) - {00000EF1-0786-4633-87C6-1AA7A44296DA} - (no file)
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL (file missing)
O2 - BHO: CHungryBHO Object - {BCF96FB4-5F1B-497B-AECC-910304A55011} - C:\WINNT\neti.dll
O2 - BHO: (no name) - {C5941EE5-6DFA-11D8-86B0-0002441A9695} - C:\WINNT\3_0_1browserhelper3.dll
O4 - HKLM\..\Run: [TV Media] C:\Programme\TV Media\Tvm.exe
O4 - HKCU\..\Run: [TV Media] C:\Programme\TV Media\Tvm.exe

wenn Du folgende Einträge nicht kennst/brauchst, bitte fixen:
(Häk'chen setzen und auf Fix Checked klicken):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINNT\System32\SearchBar.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.web.de/
R3 - URLSearchHook: (no name) - {20EC3D2D-33C1-4C9D-BC37-C2D500688DA2} - C:\Programme\TV Media\TvmBho.dll

boote in den normalen Modus.

beende:
Tvm.exe

lösche:
C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL
C:\WINNT\neti.dll
C:\WINNT\3_0_1browserhelper3.dll
C:\Programme\TV Media\Tvm.exe

Aktiviere die Systemwiederherstellung.

Lade den eScan (mwav.exe - 4258 KB - 2/19/04 - 12:00:00 AM) runter. Beachte die Anleitung. Du musst nun für den eScan einen neuen Ordner (=Verzeichnis) "c:\bases" erstellen. Update den eScan online (siehe Anleitung) und führe ihn offline im abgesicherten Modus aus.

Öffne die "mwav.log" und teile uns das Ergebnis des eScan mit: wieviel Viren wurden auf Deinem Rechner gefunden, die Namen der Viren, wieviele Viren wurden gelöscht, wieviele Dateien wurden umbenannt?

Erstelle dann ein weiteres Hijack This Logfile und poste es.

SD

hi SD!
hab jetzt gestern nacht des tv media teil doch noch runter bekommen. nach so ner englischen anleitung (http://forums.devshed.com/t159811/s....hlight=tvm.exe). ich hoff ich hab alles richtig gemacht. was ich genau gemacht hab:

1. tvm.exe beenden (war scho beendet. also doch nicht *gg*)
2. hijack this: das gefixt:
O2 - BHO: (no name) - {00000EF1-0786-4633-87C6-1AA7A44296DA} - (no file)
O2 - BHO: CHungryBHO Object - {BCF96FB4-5F1B-497B-AECC-910304A55011} - C:\WINNT\neti.dll
O4 - HKLM\..\Run: [TV Media] C:\Programme\TV Media\Tvm.exe
O4 - HKCU\..\Run: [TV Media] C:\Programme\TV Media\Tvm.exe
R3 - URLSearchHook: (no name) - {20EC3D2D-33C1-4C9D-BC37-C2D500688DA2} - C:\Programme\TV Media\TvmBho.dll
O4 - Global Startup: Microsoft Office.lnk = D:\Office\Office10\OSA.EXE
3. in den abgesicherten modus gebootet und dann C:\Programme\Tv Media gelöscht.

das wars schon. und es hat funktioniert! ich hab danach nochmal hijack this durchlaufen lassen, das log online auswerten lassen, und dann noch das gefixt:

O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL (file missing)
O2 - BHO: (no name) - {C5941EE5-6DFA-11D8-86B0-0002441A9695} - C:\WINNT\3_0_1browserhelper3.dll
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINNT\System32\SearchBar.htm


So in etwa hab ich des alles gemacht. ich kann mich nicht mehr so genau erinnern, ob ich auch ganz genau das gefixt hab, bzw, hab ich noch ein zwei sachen mehr gefixt.


so, jetzt zu dem ganzen zeugs, was du mir noch so geraten hast:

sp2. ja, das hatte ich auch schon auf dem pc. allerdings hat dann mein internet nicht mehr funktioniert. ich hab den fehler nie gefunden, deswegen hab ichs wieder deinstalliert. (und inzwischena auch mein system neu aufgesetzt...)

pulse.exe ist ein kleines programm, das ich immer benutz, es enthält ziemlich sicher keine viren. habs jetzt aber au nicht geprüft....

C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL hab ich schon vorher irgendwann gelöscht.. hab halt nur gemerkt, dass es nicht von mir war...
C:\WINNT\neti.dll hab ich nicht gefunden. auch nicht mir der suchfunktion...
C:\WINNT\3_0_1browserhelper3.dll das gleiche wie mit neti.dll
C:\Programme\TV Media\Tvm.exe wie gesagt: der ganze ordner ist schon weg....


eScan und ein weiteres hijack this log werd ich gleich mal machen...

soweit mal thx!!!
clee

so, bin jetzt endlich dazu gekommen, die beiden teile durchlaufen zu lassen. hier die logs:

hijack this:

Logfile of HijackThis v1.98.2
Scan saved at 17:42:09, on 24.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\Explorer.EXE
D:\Grisoft\AVGFRE~1\avgamsvr.exe
D:\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programme\MSI\Live Update 3\LMonitor.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
D:\ßLogitech\iTouch\iTouch.exe
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\System32\MsPMSPSv.exe
D:\Winamp 5\winampa.exe
D:\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\Messenger\msmsgs.exe
D:\Pulse\Pulse.exe
D:\Office\Office10\OUTLOOK.EXE
D:\Office\Office10\WINWORD.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
D:\Opera\opera.exe
D:\WS_FTP Pro\wsftpgui.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINNT\System32\svchost.exe
C:\bases\mwavscan.com
C:\bases\kavss.exe
D:\shared\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.web.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - D:\WS_FTP Pro\wsbho2k0.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [LiveMonitor] C:\Programme\MSI\Live Update 3\LMonitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [zBrowser Launcher] D:ßLogitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [WinampAgent] D:\Winamp 5\winampa.exe
O4 - HKLM\..\Run: [CTStartup] C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [AVG7_CC] D:\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Pulse] D:\Pulse\Pulse.exe -splash
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\Office\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 192.168.0.4 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 192.168.0.4 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 192.168.0.4 192.168.0.1





beitrag zu lang.... der escan is im nächsten post...

so, habs jetzt aufgegeben, des log als thread reinzuschreiben. denn der letzte abschnitt war immer noch zu lang....
ich habs jetzt einfach mal hier als .txt datei reingestellt, falls es doch wichtig ist.....:

http://web487.server2.dce4u.de/escan.txt

aja, und ich hätts jetzt fast vergessen:

anzahl der viren: 117
desinfizierte dateien: 0
gelöschte dateien: 18
unbenannte dateien: 2
fehler: 3

jetzt muss ich leider immer mehr finden, was nicht mehr geht:
1. ich kann die windowsupdate seite nicht mehr öffnen
2. ich kann beim IE nicht mal mehr unter internetoptionen gehen: Dieser Prozess wurde auf Grund von Einschränkungen die für Ihren Computer gelten abgebrochen. Wenden Sie sich an den Systemadministrator.....

ahh!!! kann mir irgendjemand sagen, was noch zu tun ist?? vielen dank im voraus!!!
clee